Исследователи из XLab препарировали свежий ботнет AryStinger, который прямо сейчас активно пылесосит IPv4-пространство. На данный момент в сеть загнано более 4000 устройств (железо снятое с поддержки, либо которое годами никто не патчил). Основная цель - маршрутизаторы D-Link DIR-850L и DIR-818LW.
Если посмотреть на отладочные логи малвари со второго скрина, вырисовывается вполне грамотная и легкая модульная архитектура:
🟢 Дроппер определяет платформу (в логе это
RTL819X).🟢 Затем бинарник инициализирует рабочие демоны:
authsvc (авторизация на управляющем C2-сервере http://eixfi.ajb8.com), tunnelsvc (поднятие прокси/туннеля), tasksvc (планировщик) и updatesvc для стягивания пейлоадов с https://hgodpcx.ajb8.com.По итогу AryStinger превращает роутер в распределенный вычислительный узел. Вместо того чтобы светить своими IP-адресами, хакеры дробят задачи на мелкие потоки и раскидывают по зараженному железу. В логах отлично видно, как малварь запускает утилиту
massdns для массового резолва и сетевой разведки. Помимо функции прокси, бот умеет подменять DNS-настройки роутера на лету и тихо сниффать транзитный трафик абона.Типичный 🥸 Сисадмин